FATCA, CRS, DAC8 en Belgique : les obligations fiscales qui recoupent votre KYC

Points clés à retenir

• 1FATCA, CRS et DAC8 imposent une diligence fiscale (identifier la résidence fiscale d'un client pour l'échange automatique d'informations) qui est juridiquement distincte du KYC AML, lequel vise à détecter un risque de blanchiment ou de financement du terrorisme.
• 2Les données d'identification et de bénéficiaire effectif collectées pour le KYC AML peuvent souvent étayer une auto-certification fiscale CRS, mais ne la remplacent jamais : l'auto-certification reste un document à part entière.
• 3Les déclarations FATCA et CRS sont transmises au SPF Finances, pas à la CTIF : ce sont deux canaux de déclaration et deux autorités de contrôle distinctes.
• 4Depuis le 1er janvier 2026, la directive DAC8 (UE) 2023/2226 étend un régime de déclaration proche de CRS aux prestataires de services sur crypto-actifs, qui cumulent désormais un statut d'entité assujettie AML et un statut de prestataire de services sur crypto-actifs déclarant (au sens de DAC8).
• 5Un parcours d'onboarding client bien conçu peut collecter en une fois les données utiles aux deux obligations, à condition de documenter séparément leur finalité pour rester conforme au RGPD.

Deux diligences, une seule conversation avec le client

Un compliance officer belge qui onboarde un nouveau client mène, le plus souvent sans s'en rendre compte, deux procédures de diligence en parallèle. La première est le KYC AML : elle découle de la loi du 18 septembre 2017 relative à la prévention du blanchiment de capitaux et du financement du terrorisme (loi LBC/FT) et vise à identifier le client, vérifier son identité, documenter ses bénéficiaires effectifs et évaluer son profil de risque. La seconde, moins souvent nommée mais tout aussi obligatoire pour une institution financière déclarante, est la diligence fiscale imposée par FATCA, le CRS et, depuis peu, DAC8.

Ces deux diligences partagent une partie de leurs données d'entrée, mais pas leur finalité, ni leur base légale, ni leur destinataire. Confondre les deux, ou pire, croire que l'une dispense de l'autre, expose l'entité assujettie à un risque de non-conformité sur un terrain qu'elle ne surveille pas : le terrain fiscal. C'est une zone angle mort fréquente, y compris dans des organisations par ailleurs matures sur le plan AML.

FATCA, CRS et DAC8 : trois textes, un même principe, trois champs d'application

FATCA (Foreign Account Tax Compliance Act) est une loi fiscale américaine qui impose aux institutions financières étrangères, dont les institutions belges, d'identifier les comptes détenus par des personnes des États-Unis et de transmettre leurs informations à l'administration fiscale américaine, via le SPF Finances dans le cadre de l'accord intergouvernemental conclu entre la Belgique et les États-Unis.

Le CRS (Common Reporting Standard), développé par l'OCDE, généralise ce principe à l'échelle multilatérale : chaque État participant collecte les informations de compte des résidents fiscaux des autres États participants et les leur transmet automatiquement, chaque année. Dans l'Union européenne, le CRS a été transposé par la directive 2014/107/UE du Conseil, dite DAC2, qui modifie la directive 2011/16/UE relative à la coopération administrative dans le domaine fiscal.

DAC8 (directive (UE) 2023/2226 du Conseil) est le dernier maillon de cette chaîne : elle étend l'échange automatique d'informations aux crypto-actifs, en transposant dans le droit de l'Union le cadre Crypto-Asset Reporting Framework (CARF) élaboré par l'OCDE. Les prestataires de services sur crypto-actifs déclarants doivent désormais identifier la résidence fiscale de leurs utilisateurs et déclarer leurs transactions, selon une logique calquée sur le CRS mais appliquée à un univers que ce dernier ne couvrait pas.

Critère	Critère	KYC AML (loi LBC/FT)	FATCA / CRS / DAC8
Finalité	Détecter un risque de blanchiment ou de financement du terrorisme	Déterminer la résidence fiscale pour l'échange automatique d'informations
Déclenchement de l'obligation	Approche par les risques, en continu	Systématique, pour chaque compte financier reportable
Document clé	Dossier KYC, identification du bénéficiaire effectif	Auto-certification de résidence fiscale
Destinataire de la déclaration	CTIF (déclaration de soupçon)	SPF Finances (déclaration annuelle systématique)
Autorité de contrôle	BNB, FSMA selon le secteur	SPF Finances

Où la réutilisation des données est légitime, et où elle s'arrête

La bonne nouvelle pour une entité assujettie qui dispose déjà d'un dossier KYC AML solide, c'est que ce dossier n'est pas inutile pour sa conformité fiscale. Les standards CRS et DAC8 reconnaissent explicitement qu'une institution financière déclarante peut s'appuyer sur les procédures et les informations déjà rassemblées dans le cadre de ses obligations de lutte contre le blanchiment, par exemple l'identification du client ou de ses bénéficiaires effectifs, à condition que ces procédures AML satisfassent aux exigences applicables en la matière.

Cette passerelle a une limite nette : elle permet de corroborer une information fiscale, pas de s'en dispenser. L'auto-certification de résidence fiscale reste un document distinct, que le client doit produire pour chaque compte financier reportable, et dont le contenu (pays de résidence fiscale, numéro d'identification fiscale, qualification de l'entité au regard du CRS) n'a pas d'équivalent direct dans un dossier KYC AML classique.

Construire un parcours d'onboarding qui couvre KYC AML et diligence fiscale

• Collecter en un seul entretien client l'identification AML et l'auto-certification de résidence fiscale, sans les fusionner dans un document unique dépourvu de finalité déclarée.

• Documenter séparément, dans le dossier interne, ce qui relève de la conformité AML et ce qui relève de la conformité fiscale, conformément au principe de limitation des finalités du RGPD.

• Vérifier la plausibilité de l'auto-certification fiscale au regard des autres informations déjà détenues (adresse, lieu de constitution, documents d'identification), comme l'exige la norme CRS.

• Prévoir un circuit de déclaration dédié vers le SPF Finances, distinct du circuit de déclaration de soupçon vers la CTIF, avec des responsables identifiés pour chacun.

• Pour les CASP, vérifier si le statut de prestataire déclarant DAC8 s'ajoute au statut d'entité assujettie AML, et adapter le dossier client en conséquence.

DAC8 : la crypto rejoint l'échange automatique d'informations fiscales

Jusqu'à l'adoption de DAC8, le marché des crypto-actifs échappait largement à l'échange automatique d'informations fiscales, alors même qu'il était déjà, depuis l'entrée en application du règlement MiCA et du règlement sur les transferts de fonds (TFR), pleinement intégré au périmètre AML. Un prestataire de services sur crypto-actifs (CASP) belge pouvait donc être parfaitement en règle sur le plan AML, tel que décrit dans notre article sur les obligations AML des CASP en Belgique, tout en échappant à toute obligation de déclaration fiscale sur les avoirs de ses utilisateurs.

DAC8 ferme cet écart. La directive impose aux prestataires de services sur crypto-actifs déclarants de mettre en œuvre une diligence proche de celle du CRS : identification de la résidence fiscale de l'utilisateur, collecte d'une auto-certification, et déclaration annuelle des transactions au SPF Finances, qui les échange ensuite avec les administrations fiscales des autres États participants au CARF.

1. 1

   2022

   L'OCDE publie le cadre CARF (Crypto-Asset Reporting Framework) et les amendements au CRS pour couvrir la monnaie électronique et les actifs numériques.

2. 2

   17 octobre 2023

   Le Conseil de l'Union européenne adopte la directive (UE) 2023/2226 (DAC8), qui transpose le CARF dans le droit de l'Union et modifie la directive 2011/16/UE.

3. 3

   Fin 2025

   Délai de transposition de DAC8 dans le droit national des États membres, en parallèle du régime d'autorisation MiCA déjà applicable aux CASP.

4. 4

   1er janvier 2026

   Application visée de DAC8 : les prestataires de services sur crypto-actifs déclarants doivent collecter la résidence fiscale de leurs utilisateurs et préparer leurs premières déclarations, dans les États membres qui ont transposé la directive dans ce délai.

Pour un CASP déjà soumis à la supervision de la FSMA au titre de MiCA et des obligations AML du règlement TFR, DAC8 ajoute donc une troisième couche de diligence, cette fois purement fiscale, avec son propre formulaire d'auto-certification, son propre circuit de déclaration vers le SPF Finances, et ses propres sanctions en cas de manquement. La transposition de DAC8 dans le droit belge a suivi son propre calendrier parlementaire, de sorte que l'entrée en vigueur effective de l'obligation déclarative pour les CASP belges a pu intervenir après le 1er janvier 2026 : chaque CASP doit vérifier, auprès du SPF Finances, la date à laquelle son obligation déclarative est effectivement devenue exigible en droit belge, plutôt que de se fier à la seule date d'application visée au niveau européen. Les équipes qui traitent cette couche comme une simple extension du KYC AML risquent de sous-investir dans la collecte des éléments fiscaux spécifiques (numéro d'identification fiscale, pays de résidence fiscale déclarée) que le dossier AML ne contient pas nécessairement.

Pourquoi il ne faut jamais fusionner les deux dossiers

La tentation de simplifier l'expérience client en ne tenant qu'un seul dossier, AML et fiscal confondu, est compréhensible mais risquée à plusieurs titres.

Cette distinction rejoint les exigences générales de conservation des données personnelles décrites dans notre article sur le RGPD et les données KYC en Belgique : chaque finalité de traitement doit pouvoir être justifiée et documentée séparément, même lorsque les données sous-jacentes se recoupent largement. La méthodologie KYC et due diligence que suit une entité assujettie pour son onboarding AML reste donc un point de départ utile pour la diligence fiscale, mais jamais un substitut à celle-ci.

Ce que cela change concrètement pour une entité assujettie

Pour une institution financière déclarante au sens CRS (ce qui recouvre la plupart des établissements de crédit, entreprises d'investissement, organismes de placement collectif et, depuis MiCA et DAC8, les prestataires de services sur crypto-actifs), la discipline à adopter tient en trois points. D'abord, cartographier précisément quelles entités de son périmètre portent, en plus du statut d'entité assujettie AML, celui d'institution financière déclarante CRS ou de prestataire déclarant DAC8. Ensuite, s'assurer que le processus d'auto-certification fiscale est formellement intégré au parcours d'onboarding, avec une vérification de plausibilité documentée, et non simplement déduit du dossier KYC AML. Enfin, maintenir deux circuits de déclaration distincts et deux registres de conformité séparés : la CTIF d'un côté pour les déclarations de soupçon, le SPF Finances de l'autre pour les déclarations FATCA, CRS et DAC8.

Les organisations qui traitent ces deux obligations comme une seule et même diligence prennent un risque qu'elles ne mesurent pas toujours : celui d'être parfaitement conformes sur le plan AML, et simultanément en défaut sur le plan fiscal, sans qu'aucun contrôle interne ne le détecte avant une inspection ou un échange d'informations qui révèle l'écart. Pour aller plus loin sur le détail des règles CRS applicables aux institutions financières, le standard d'échange automatique de renseignements relatifs aux comptes financiers de l'OCDE et le texte de la directive (UE) 2023/2226 sur EUR-Lex restent les références à consulter en premier lieu.

Questions fréquentes

FATCA et CRS remplacent-ils mes obligations KYC AML en Belgique ?

Non. Les obligations FATCA et CRS poursuivent une finalité fiscale (identifier la résidence fiscale d'un client pour l'échange automatique d'informations) tandis que le KYC AML, sous la loi du 18 septembre 2017, vise à détecter un risque de blanchiment de capitaux ou de financement du terrorisme. Ce sont deux cadres juridiques distincts, avec des bases légales, des destinataires et des obligations de conservation différentes, qui doivent coexister plutôt que se substituer l'un à l'autre.

Puis-je réutiliser les données collectées pour mon KYC AML afin de documenter l'auto-certification fiscale CRS d'un client ?

Une institution financière déclarante peut s'appuyer sur les informations déjà collectées dans le cadre de ses procédures de lutte contre le blanchiment, notamment l'identification du client et de ses bénéficiaires effectifs, pour étayer ou corroborer une auto-certification CRS, à condition que ces procédures répondent aux exigences de la réglementation AML applicable. Cette réutilisation ne dispense cependant pas de recueillir une auto-certification fiscale propre, dont l'objet et le contenu diffèrent de ceux d'un dossier KYC AML.

Qu'est-ce que DAC8 et à partir de quand s'applique-t-il aux prestataires de services sur crypto-actifs en Belgique ?

DAC8 est la directive (UE) 2023/2226 du Conseil, qui modifie la directive 2011/16/UE relative à la coopération administrative dans le domaine fiscal pour y intégrer les crypto-actifs. Elle transpose dans le droit de l'Union le cadre CARF de l'OCDE et impose aux prestataires de services sur crypto-actifs déclarants de collecter et transmettre des informations fiscales sur leurs utilisateurs, avec une application visée au 1er janvier 2026 dans les États membres qui l'ont transposée dans ce délai.

Qui reçoit les déclarations FATCA et CRS en Belgique : la CTIF ou le SPF Finances ?

Les déclarations FATCA et CRS sont transmises au SPF Finances (FOD Financiën), qui est l'autorité compétente belge pour l'échange automatique d'informations à des fins fiscales. Elles n'ont rien à voir avec la déclaration de soupçon AML, qui est adressée à la CTIF (Cellule de traitement des informations financières) en cas d'indice de blanchiment de capitaux ou de financement du terrorisme. Ce sont deux canaux de déclaration séparés, vers deux autorités distinctes, répondant à deux logiques différentes.

Une entité assujettie AML qui est aussi une institution financière déclarante CRS peut-elle fusionner ses deux dossiers clients en un seul ?

Elle peut, et a souvent intérêt à, construire un parcours d'onboarding unique qui collecte en une fois les données nécessaires aux deux obligations, mais elle doit documenter séparément la finalité de chaque traitement conformément au principe de limitation des finalités du RGPD. Un même formulaire peut recueillir l'identification du client, l'auto-certification de résidence fiscale et les éléments KYC AML, à condition que le dossier interne distingue clairement ce qui relève de la conformité fiscale de ce qui relève de la conformité AML.

Que risque une institution financière belge qui ne respecte pas ses obligations FATCA, CRS ou DAC8 ?

Le non-respect des obligations de déclaration et de diligence prévues par la législation belge transposant CRS et DAC8 expose l'institution financière déclarante à des sanctions administratives et, dans certains cas, pénales distinctes du régime de sanctions de la loi LBC/FT. Ces deux régimes de sanctions sont autonomes : une institution peut être en règle sur le plan AML et en défaut sur le plan fiscal, ou inversement, ce qui justifie un suivi de conformité séparé pour chaque corps de règles.